Datenschutz erfordert Schutz vor Credential Stuffing

Jim Downey

Am 27. Juni 2022 veröffentlichte die Global Privacy Assembly (GPA), ein Zusammenschluss von mehr als 130 Regulierungs- und Aufsichtsbehörden für Datenschutz und Privatsphäre, die ersten zwischenstaatlichen Leitlinien zu Credential Stuffing. Darin wird festgestellt, dass Credential Stuffing weltweit eine Gefahr für personenbezogene Daten darstellt und Datenschutzgesetze Organisationen dazu verpflichten, sich davor zu schützen.

F5 ist stolz darauf, an der Ausarbeitung der Richtlinien mitgewirkt zu haben, und weiß die Anerkennung durch die GPA zu schätzen. F5 ist sich der Bedrohung durch Credential Stuffing seit Langem bewusst. Es war Sumit Agarwal von F5, der den Begriff „Credential Stuffing“ prägte, als er als stellvertretender Staatssekretär im US-Verteidigungsministerium tätig war. Diese Erkenntnis führte 2011 zur Gründung von Shape Security (heute Teil von F5), einem führenden Anbieter für Bot-Management. Auch heute schützt F5 die weltweit größten Banken, E-Commerce-Händler, Fluggesellschaften, Anbieter im Gastgewerbe und Social-Media-Unternehmen vor Credential Stuffing und damit verbundenen Bedrohungen.

Die neuen Leitlinien, die von der International Enforcement Cooperation Working Group (IEWG), einer ständigen Arbeitsgruppe der GPA, veröffentlicht wurden, beschreiben, wie Credential Stuffing durchgeführt wird, erläutern die wirtschaftlichen Beweggründe der Angreifer, die zu seiner weiten Verbreitung beitragen, zeigen auf, warum es sich dabei um ein globales Problem handelt, das in Datenschutzgesetzen berücksichtigt werden muss, und stellen verschiedene Methoden zur Eindämmung von Credential Stuffing vor.

Die Leitlinien der GPA knüpfen an mehrere aktuelle Warnungen von Regierungsbehörden an. Am 5. Januar 2022 veröffentlichte die Generalstaatsanwaltschaft des Bundesstaates New York einen Leitfaden für Unternehmen über die rasante Zunahme von Credential Stuffing und die Notwendigkeit für Unternehmen, Präventivmaßnahmen zu ergreifen. Am 15. September 2020 veröffentlichte die US-Börsenaufsichtsbehörde Securities and Exchange Commission eine Risikowarnung zum drastischen Anstieg von Credential-Stuffing-Angriffen auf bei der SEC registrierte Anlageberater, Broker und Händler. Am 10. September 2020 veröffentlichte das US-amerikanische Federal Bureau of Investigation eine Mitteilung an die Privatwirtschaft, in der vor einer Welle von Credential-Stuffing-Angriffen auf US-Finanzinstitute gewarnt wurde, die mehr als 50.000 Konten betrafen und Unternehmen allein für Benachrichtigungs- und Abhilfemaßnahmen durchschnittlich 6 Millionen US-Dollar pro Jahr kosteten. Diese Vorfälle wirken sich weiterhin auf Chief Privacy Officers aus, wie der kürzlich erschienene CPO-Artikel zeigt, der einen massiven Credential-Stuffing-Angriff auf General Motors dokumentiert.

Credential Stuffing ist eine Form der Cyberkriminalität, bei der Kriminelle gestohlene Zugangsdaten auf Websites ausprobieren, um Konten zu übernehmen. Mithilfe automatisierter Tools, sogenannter Bots, führen sie diese Angriffe in großem Umfang durch. Diese Form der Cyberkriminalität ist äußerst effektiv und erzielt einen hohen ROI, weil 1) gestohlene Zugangsdaten leicht verfügbar sind, 2) bis zu 60 % der Menschen Passwörter für mehrere Konten wiederverwenden (laut FBI) und 3) viele Organisationen auf unwirksame Abwehrmaßnahmen wie CAPTCHAs und IP-Sperrlisten setzen.

Die Zahl der gestohlenen Zugangsdaten ist erschreckend. Allein im Jahr 2020 wurden laut dem F5 Labs 2021 Credential-Stuffing-Bericht 1,86 Milliarden Zugangsdaten gestohlen. Die GPA-Richtlinien weisen darauf hin, dass durch massive Datenschutzverletzungen wie den Yahoo-Datendiebstahl von 2013 Milliarden von Zugangsdaten offengelegt wurden. Angreifer können diese gestohlenen Zugangsdaten jahrelang ausnutzen, bevor die Datenschutzverletzungen öffentlich bekannt werden.

„…Untersuchungen des Privatsektors ergaben, dass es in der Gaming-Branche zwischen November 2017 und März 2019 55 Milliarden Credential-Stuffing-Angriffe gab. Das entspricht mehr als 3 Milliarden Angriffen pro Monat und über 107 Millionen Angriffen pro Tag. Weitere Untersuchungen ermittelten für das Jahr 2020 weltweit 193 Milliarden Credential-Stuffing-Angriffe, was mehr als 16 Milliarden Angriffen pro Monat und über 500 Millionen Angriffen pro Tag entspricht.“

Die GPA-Richtlinien weisen außerdem darauf hin, dass Opfer solcher Datenschutzverletzungen nicht nur finanzielle Verluste erleiden können, sondern auch Rufschädigungen durch Desinformation oder falsche Aussagen, die unter Verwendung ihres kompromittierten Kontos über sie verbreitet werden. Es ist leicht vorstellbar, wie solche Datenschutzverletzungen Existenzen zerstören können.

Besonders hervorzuheben ist, dass die Leitlinien zu dem Schluss kommen, Organisationen sollten Schutzmaßnahmen gegen Credential Stuffing als eine der „angemessenen“ Sicherheitsmaßnahmen betrachten, die nach den Datenschutzgesetzen erforderlich sind. Dabei verweisen sie auf konkrete Bestimmungen der Datenschutz-Grundverordnung (DSGVO) der EU und der Safeguards Rule der US-amerikanischen Federal Trade Commission.

„Angesichts der offenkundigen Bedrohung personenbezogener Daten durch Credential-Stuffing-Angriffe (insbesondere für Organisationen mit Benutzerkonten, auf die online zugegriffen werden kann) und der daraus möglicherweise resultierenden unbefugten Verarbeitung bzw. des unbefugten Zugriffs wird die Umsetzung von Maßnahmen zum Schutz personenbezogener Daten vor Credential-Stuffing-Angriffen nach den Datenschutzgesetzen im Allgemeinen zumindest implizit vorgeschrieben sein.“

Die GPA-Leitlinien empfehlen Organisationen, mehrere Maßnahmen zum Schutz vor Credential Stuffing in Betracht zu ziehen:

• Gastbestellung, bei der keine Anmeldedaten verwendet werden
• Strenge Passwortrichtlinien, um das Risiko der Wiederverwendung zu minimieren
• Alternativen zu Passwörtern, wie etwa Single Sign-On (SSO)
• Multi-Faktor-Authentifizierung (MFA)
• Zusätzliche Passwörter und PINs
• Geräte-Fingerprinting
• Unvorhersehbare Benutzernamen
• Erkennung kompromittierter Passwörter
• Ratenbegrenzung
• Anmeldeseite und -prozesse (mehrstufige Anmeldung)
• Kontoüberwachung/-erkennung
• Zusätzliche Überprüfungen für Anonymisierungsnetzwerke (wie TOR)
• CAPTCHAs
• WAFs
• IP-Sperrlisten und -Freigabelisten
• Pläne zur Reaktion auf Sicherheitsvorfälle und Benachrichtigungen der Nutzer

Dies sind zweifellos bewährte Techniken, die dazu beigetragen haben, Credential-Stuffing-Angriffe einzudämmen. Bei der Bewertung, welche Ansätze sich am besten für Ihr Unternehmen eignen, empfiehlt F5 aufgrund seiner langjährigen Innovationsarbeit in diesem Bereich, Techniken in Betracht zu ziehen, die Bots effektiv in Echtzeit abwehren, ohne die Benutzerfreundlichkeit zu beeinträchtigen oder eine Neugestaltung der Anwendung zu erfordern.

Sekundäre Passwörter und PINs, schwer vorhersehbare Benutzernamen sowie mehrstufige Anmeldeseiten bieten zwar zusätzlichen Schutz, erhöhen jedoch zugleich die Hürden für die Benutzer. Unternehmen, die ihre Konversionsrate steigern und Kaufabbrüche reduzieren möchten, sollten Hindernisse zwischen Kunden und Kaufabschluss vermeiden. Eine Gastbestellung kann ebenfalls hilfreich sein, hindert Unternehmen jedoch daran, ein personalisiertes, zielgerichtetes Erlebnis zu bieten. Die Multi-Faktor-Authentifizierung (MFA) ist zwar wirksam, erschwert aber ebenfalls die Benutzererfahrung und ist verstärkt ins Visier von Kriminellen geraten.

Auch CAPTCHAs erschweren die Nutzung und bieten einen weniger wirksamen Schutz, als viele glauben. CAPTCHA-Lösungsdienste, die maschinelles Lernen und Klickfarmen einsetzen, ermöglichen es Bots, CAPTCHAs kostengünstig zu umgehen. (Lesen Sie mehr über die Erlebnisse von Dan Woods in „Geschichten eines menschlichen CAPTCHA-Lösers“.)

Unternehmen, die mit F5 zusammengearbeitet haben, stellten fest, dass IP-Sperrlisten und statische WAF-Regeln zu aufwendig zu pflegen sind. Proxy-Dienste ermöglichen es Bots, Millionen gültiger privater IP-Adressen zu nutzen. Werden Bots blockiert, passen sie sich innerhalb weniger Stunden an. Solche Ansätze zwingen Sicherheitsteams zu einem aussichtslosen Katz-und-Maus-Spiel.

Ebenso sind die Überwachung und Erkennung verdächtiger Kontoaktivitäten, Pläne zur Reaktion auf Sicherheitsvorfälle und Benutzerbenachrichtigungen wichtig und müssen Bestandteil eines Bot-Management-Programms sein. Diese Schutzmaßnahmen greifen jedoch erst im Nachhinein. Glücklicherweise gibt es Techniken, mit denen sich die Übernahme von Konten durch Kriminelle von vornherein verhindern lässt.

F5 arbeitet mit Organisationen zusammen, die entschlossen sind, sich und ihre Kunden zu schützen – vor betrügerischem Missbrauch infolge von Credential Stuffing. Gleichzeitig ermöglicht F5 ihnen, herausragende digitale Erlebnisse zu bieten, die Kunden begeistern und ihnen im heutigen wettbewerbsintensiven Markt zum Erfolg verhelfen. F5 hat sich die Treue seiner Kunden verdient, indem das Unternehmen mit höchstmöglicher Wirksamkeit vor Bots schützt, ohne die Benutzerfreundlichkeit zu beeinträchtigen. Die Technologie basiert auf jahrelanger Forschung und Entwicklung im Bereich JavaScript- und nativer mobiler Signale, die Geräteumgebungen und Verhaltensmerkmale von Bots abdecken. Zusätzlich zur Echtzeiterkennung anhand dieser Signale umfasst F5 Distributed Cloud Bot Defense einen auf maschinellem Lernen basierenden Analysedienst, der Anpassungen von Bots schnell erkennt und darauf reagiert. Um eine langfristige Wirksamkeit zu gewährleisten, wird der Code zur Signalerfassung mithilfe eines fortschrittlichen Verfahrens verschleiert, das Reverse Engineering und Signalmanipulation verhindert.

F5 ist davon überzeugt, dass Cybersicherheit jeden Einzelnen betrifft. Credential-Stuffing-Angriffe, die Unternehmen schädigen und für Privatpersonen verheerende Folgen haben, sind genau die Art von Problem, deren Lösung wir uns verschrieben haben. Wie Dan Woods, Global Head of Intelligence bei F5, in Fast Company betont, wurde diesen Angriffen bislang zu wenig Aufmerksamkeit geschenkt. Glücklicherweise rücken die GPA und mehrere Datenschutzbehörden die Risiken für die Privatsphäre des Einzelnen nun stärker in den Fokus.

„Der Colonial-Angriff hat eine deutliche Diskrepanz zwischen der öffentlichen Wahrnehmung und der medialen Darstellung von Cybersicherheit aufgezeigt. Millionen von Menschen ein wenig Unannehmlichkeiten bereiten: internationale Schlagzeilen. Tausende Familien ruinieren, indem man ihnen in voneinander unabhängigen Betrugsfällen ihre gesamten Ersparnisse stiehlt: Schweigen im Blätterwald.“

In diesem digitalen Zeitalter, in dem ein Großteil unseres Lebens als Daten online gespeichert wird, sind wir darauf angewiesen, dass Organisationen den Datenschutz mit größter Ernsthaftigkeit behandeln. Dies wird durch die weltweit von Regierungen erlassenen, zunehmend strengeren Datenschutzgesetze noch einmal deutlich unterstrichen. Datenschutzvorschriften wie die DSGVO verlangen von Organisationen, alle geeigneten Maßnahmen zum Schutz der Privatsphäre zu ergreifen. Angesichts unserer heutigen Erkenntnisse über Credential Stuffing verdeutlichen diese GPA-Richtlinien, dass der Schutz vor Credential Stuffing zu den geeigneten Maßnahmen jeder Organisation gehören muss.

Weitere Einblicke in den ROI von Bot-Schutz finden Sie im „Forrester Total Economic Impact Report“. Erfahren Sie mehr und vereinbaren Sie unter f5.com/bot-defense einen Gesprächstermin mit einem F5-Experten für Bot-Schutz.

Über den Autor

Jim Downey

Weitere Blogbeiträge von Jim Downey